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VERTRAG UBER DIE INTERNATIONALE ZUSAMMENARBEIT 
AUF DEM GEBIET DES PATENTWESENS 



PCT 

INTERNATIONALER RECHERCHENBERICHT 

(Artikel 18 sowie Regeln 43 und 44 PCT) 



Aktenzeichen des Anmelders Oder Anwalts 

98P5915P 


WEI TERES siehe Mitteilung uber die Ubermitttung des internationalen 

Recherchenberichts (Formblatt PCT/ISA/220) sowie, soweit 
VORGEHEN zutreffend, nachstehender Punkt 5 


Internationales Aktenzeichen 

PCT/DE 99/03922 


Internationales Anmeldedatum 
(Tag/Monat/Jahr) 

08/12/1999 


(Fruhestes) Prioritatsdatum (Tag/Monat/Jahr) 

11/12/1998 


Anmelder 

SIEMENS AKTIENGESELLSCHAFT et al . 



Dieser internationale Recherchenbericht wurde von der Internationalen Recherchenbehorde erstellt und wird dem Anmelder gemaB 
Artikel 18 ubermittelt. Eine Kopie wird dem Internationalen Buro ubermittelt. 

Dieser internationale Recherchenbericht umfaBt insgesamt _3 Blatter. 

[X] Dariiber hinaus liegt ihm jeweils eine Kopie der in diesem Bericht genannten Unterlagen zum Stand der Technik bei. 



1 . Grundlage des Berichts 

a. Hinsichtlich der Sprache ist die internationale Recherche auf der Grundlage der internationalen Anmeldung in der Sprache 
durchgefuhrt worden, in der sie eingereicht wurde, sofern unter diesem Punkt nichts anderes angegeben ist. 

| | Die internationale Recherche ist auf der Grundlage einer bei der Behorde eingereichten Ubersetzung der internationalen 
Anmeldung (Regel 23.1 b)) durchgefuhrt worden. 

b. Hinsichtlich der in der internationalen Anmeldung offenbarten Nucleotid- und/oder Aminosauresequenz ist die internationale 
Recherche auf der Grundlage des Sequenzprotokolls durchgefuhrt worden, das 

| [ in der internationalen Anmeldung in Schriflicher Form enthalten ist. 

zusammen mit der internationalen Anmeldung in computehesbarer Form eingereicht worden ist. 



□ 
□ 
□ 
□ 

□ 



bei der Behorde nachtraglich in schriftlicher Form eingereicht worden ist. 

bei der Behorde nachtraglich in computerlesbarer Form eingereicht worden ist. 

Die Erklarung, dafc das nachtraglich eingereichte schriftliche Sequenzprotokoll nicht uber den Offenbarungsgehalt der 
internationalen Anmeldung im Anmeldezeitpunkt hinausgeht, wurde vorgelegt. 

Die Erklarung, daB die in computerlesbarer Form erfaBten Informationen dem schriftlichen Sequenzprotokoll entsprechen, 
wurde vorgelegt. 



2. 
3. 



[ | Bestimmte Anspruche haben sich als nicht recherchierbar erwiesen (siehe Feld I). 
| | Mangelnde Einheitlichkeit der Erfindung (siehe Feld II). 



4. Hinsichtlich der Bezeichnung der Erfindung 

fX] wird der vom Anmelder eingereichte Wortlaut genehmigt. 
| | wurde der Wortlaut von der Behorde wie folgt festgesetzt: 



5. Hinsichtlich der Zusammenfassung 

nn wird der vom Anmelder eingereichte Wortlaut genehmigt. 

wurde der Wortlaut nach Regel 38.2b) in der in Feld III angegebenen Fassung von der Behorde festgesetzt. Der 
| | Anmelder kann der Behorde innerhalb eines Monats nach dem Datum der Absendung dieses internationalen 

Recherchenberichts eine Stellungnahme vorlegen. 

6. Folgende Abbildung der Zeichnungen ist mit der Zusammenfassung zu veroffentlichen: Abb. Nr. 2 



fX] wie vom Anmelder vorgeschlagen [^| keine der Abb. 

| | weil der Anmelder selbst keine Abbildung vorgeschlagen hat. 
[ | weil diese Abbildung die Erfindung besser kennzeichnet. 
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(57) Abstract 

The invention relates to different 
methods used with regard to the data of 
an Internet/Intranet user. Tlie result of 
said methods, such as the rule—based ap- 
proach, a neural network with supervised 
training, a density-based profile model- 
ling and a causal network, are option- 
ally combined in order to obtain more 
significant information with a reduced 
error rate with regard to utilisation be- 
haviour. Premature recognition of ir- 
regularities in the utilisation behaviour, 
information about the necessity of net- 
work expansion and significant informa- 
tion for marketing purposes and costs is 
thus guaranteed. 
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Auf die Daten eines Teilnehmers 
im Internet/Intranet werden 

verschiedene Methoden wie der 
regelbasierte Ansatz, ein neuronales 
Netz mit uberwachtem Training, eine 
dichtebasierte Profilmodellierung und 
ein kausales Netz angewendet und 
die Ergebnisse daraus gegebenenfalls 

kombiniert, um ftir das Nutzungsverhalten eine Erhdhung der Signifikanz der Aussage mit verringerter Fehlerquote zu erzielen, wodurch 
eine fruhzeitige Erkennung von Unregelm2Gigkeiten im Nutzungsverhalten, Aussagen Uber die Notwendigkeit eines Netzausbaus sowie 
signifikante Aussagen fur Marketingzwecke und tiber Kosten gegeben sind. 
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Beschreibung 

Controlling- und Marketingverf ahren fur die Nutzung des In- 
ternet/Intranet 

Der Anmeldungsgegenstand betrifft ein Verfahren zur Erfassung 
des Nutzungsverhaltens eines Teilnehmers im Internet / Intranet 
umfassend die Merkmale des Anspruchs 1. 

Nicht vertragsgemaBe Nutzung des Internet zugangs (z.B. von 
Privatpersonen bei flat rate Tarifen eines Internet Service 
Provider oder von Angestellten einer Firma) kann eine Grofien- 
ordnung erreichen, die die Geschaf tsbasis eines Internet Ser- 
vice Provider oder einer Firma gefahrdet. Derzeit ist es 
technisch sehr schwierig, solche Nutzungsf alle so fruhzeitig 
zu erkennen, dafi rechtzeitig reagiert werden kann. 

Privat- und Geschaf tskunden oder auch Angestellte einer Firma 
nutzen das Internet/Intranet auf unterschiedliche Art und 
Weise, z.B. zum gelegentlichen Surf en, zur Ubertragung von 
Datenraten (in unterschiedlicher GroBe) , zum Spielen, etc. 
Gezielte Marketingaktionen fur die unterschiedlichen Nut- 
zungskreise seitens des Internet Service Provider, Erkennen 
von Markttrends oder auch das Bestimmen von Kosteneinspa- 
rungspotentialen einer Firma (z.B. bei Corporate Networks) 
sind bisher nur recht schwer moglich, da eine genaue Zuord- 
nung eines Internet/Intranet-Nutzers zu diversen Verhaltens- 
kategorien technisch nur unzureichend unterstiitzt wird. 

Es gibt derzeit diverse Tools zur Erkennung von Betrugsf alien 
in der Telekommunikation . Solche Tools basieren auf verschie- 
denen Techniken, wie den regelbasierten Ansatz oder neuronale 
Netze etc. Ausgewertet werden mit diesen Techniken CDR (Call 
Detail Records) oder Signalisierungsdaten des Zeichengabesy- 
stems CCS7 . 
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Es ist ein Werkzeug unter der Bezeichnung "HP OpenView Smart 
Internet Suite; Smart Internet Usage" angekundigt worden, das 
nutzungs-spezifische Internet-Daten sammelt, korrelliert und 
verdichtet sowie auf diese Daten eine Retrieval-Funktion (da- 
ta mining) anbietet. Die technische Realisierung und der ge- 
naue Umfang der Retrieval-Funktion sind im Detail nicht be- 
kannt geworden. 

Dem Anmeldungsgegenstand liegt das Problem zugrunde, ein Ver- 
fahren anzugeben, das gegenuber herkommlichen Verfahren eine 
Erhohung der Signifikanz der Aussage mit verringerter Fehler- 
quote aufweist. 

Das Problem wird durch ein Verfahren mit den Merkmalen des 
Anspruchs 1 gelost. 

Durch dieses Werkzeug konnen sowohl fruhzeitig Verdachtsmo- 
mente auf nicht spezifische Nutzungen (z.B. nicht vertragsge- 
mafle Nutzung des Internet / Intranet) gesammelt werden 
(Stichwort: Betrug), al s auch Ergebnisse erzielt werden, die 
fur Marketingzwecke, fur eine Markttrenderkennung, fur 
schnelle Reaktionen hinsichtlich eines notwendigen Netzaus- 
baus des Internet / Intranet oder auch zur Einsparung von Ko- 
sten bei der Nutzung des Internet / Intranet genutzt werden 
konnen . 

Durch die Erfindung erhalten Internet Service Provider und 
Firmen extrem gute Aussagen zu - Art der Nutzung des Internet 
/ Intranet (insbesondere auch zu einer nicht vertragsgemaflen 
Nutzung)- Markttrends (insbesondere auch zu abrupten Verhal- 
tensanderungen hinsichtlich der Nutzung von Internet / Intra- 
net)- Marketing- zu einem notwendigen Netzausbau 
etc. Insbesondere werden durch diese Erfindung die Nachteile 
der auf dem Markt befindlichen Data Mining Tools beseitigt. 
Gemafi einer besonderen Ausgestaltung des Anmeldungsgegenstan- 
des werden die Ergebnisse der einzelnen Methoden zu einer si- 
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gnifikanten Aussage mit aufierst geringer Fehlerquote verdich- 
tet ( kombiniert , verknupft) . 

Vorteilhafte Weiterbildungen des Anmeldungsgegenstandes sind 
5 in den Unteranspruchen angegeben. 

Der Anmeldungsgegenstand wird im folgenden als Ausfuhrungs- 
beispiel in einem zum Verstandnis erf orderlichen Umfang an- 
hand von Figuren naher erlautert . Dabei zeigen: 
10 Fig 1 eine bekannt gewordene Ablauffolge, 

Fig 2 eine prinzipielle Blockdarstellung von Elementen und 

deren Zusammenwirken beim Anmeldungsgegenstand und 
Fig 3 ein Anwendungsbeispiel fiir die Modellierung einer Ver- 

haltenskategorie im kausalen Netz. 

15 

In den Figuren bezeichnen gleiche Bezeichnungen gleiche Ele- 
ment e . 



Das bekannt gewordene Werkzeug arbeitet - soweit erkennbar - 

20 wie in Fig 1 dargestellt f olgendermaiben : In einem 1. Schritt 
werden die Internet-Daten Idat in einer Vorverarbeitung PP 
(fur: preprocessing) nach festen Regeln zu Internet Data Re- 
cords (IDR) korreliert und verdichtet; in einem 2. Schritt 
sind die Internet Data Records mit vom Operator eingegebenen 

25 Regeln (z. B. in Form von Select Statements) in einem Bewer- 
tungsvorgang RETR (fur: retrieval, Data mining) als Ergebnis 
OUT ausgebbar. Dabei macht es sich nachteilig bemerkbar, dafi 
- Eine Anderung der IDR eine Anderung des Preprocessor be- 
dingt - die Regeln sich nur auf die IDR ( insbesondere auch 

30 IDR-Struktur) beziehen durfen.- die IDR statisch sind, wo- 

durch Inf ormationen verlorengehen, - rein regel-basierte Sy- 
steme nicht lernfahig sind, - rein regel-basierte Systeme 
keine "Ausnahmen von der Regel" kennen (damit groBe Anzahl 
von Fehlaussagen) - rein regel-basierte Systeme keine Grenzbe- 

35 reiche kennen. 

Bei dem in Fig 2 dargestellten anmeldungsgemafien Verfahren 
konnen die Internet-Daten Idat einer Regel-basierten Vorver- 
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arbeitung RBPP (fur: Regel-basierter Preprocessor) unterzogen 
werden, wobei die Internet-Daten korreliert und verdichtet 
werden . Die Internet-Daten konnen, gegebenenf alls in vorver- 
arbeiteter Form, als Zwischenergebnis einer Zwischenspeiche- 
5 rung INTM ( fur : Interim Memory) unterzogen werden. Die Inter- 
net-Daten werden, gegebenenf alls in vorverarbeiteter Form und 
gegebenenf alls nach Zwischenspeicherung, einer Einrichtung 
Methodenansatz MA zugeflihrt, die einen regelbasierten Ansatz 
RBA, ein neuronales Netz mit liberwachtem Training NNUE, eine 

10 dichtebasierte Prof ilmodellierung DBPM und ein kausal neuro- 
nales Netz KNN, im folgenden kausales Netz genannt, aufweist. 
Die Einrichtung Methodenansatz MA arbeitet, wie durch zwei 
doppeltgerichtete Pfeile bezeichnet, mit einer Regelbasis RB, 
in der die Regeln abgespeichert sind, einer Datenbasis MO/TR, 

15 in der die Modellierungs-/Trainingsdaten abgespeichert sind, 
und einer Datenbasis HIST, in der die Auswerteergebnisse des 
aktuellen und vorangegangener Beobabtungszeitraume abgespei- 
chert sind, zusammen. Die von der Einrichtung Methodenansatz 
MA ausgegebenen bzw. in der Datenbasis HIST gespeicherten 

2 0 Zwischergebnisse konnen in einer Einrichtung COMB (fur: Com- 
bination) einer Bewertung unterzogen werden und werden als 
Ergebnis OUT ausgegeben. 

Das anmel dungs gemaiie Verfahren umfafit eine Kombination von 
25 vier unterschiedlichen Methodenansatzen, den regel-basierten 
Ansatz und drei Methodenansatze der Neuroinf ormatik (neurona- 
les Netz mit uberwachtem Training, dichte-basierte Modellie- 
rung und kausales Netz) . Die Regelf ormulierung bzw. die Mo- 
dellierung mit den Methoden der Neuroinf ormatik werden auf 
30 der Basis von Daten durchgefoihrt, die der Internet Service 
Provider Oder eine Firma speichert: RADIUS Accounting Daten 
(werden in der Regel gespeichert) , TCP Dump Protokoll Daten 
(Speicherung bei Bedarf, Umfang variabel) , SNMP (Simple Net- 
work Management Protocol ) -Daten (Speicherung bei Bedarf) etc. 
35 Das entstehende Modell stellt ein Controlling- und Marketing- 
werkzeug dar. 
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Das anmeldungsgemafte Verfahren ist vorgesehen zur Anwendung 
auf Internet / Intranet-Daten, die der Internet Service Pro- 
vider oder eine Firma speichert. Solche Daten sind u.a. die 
RADIUS Accounting Daten, die TCP Dump Daten und die SNMP Da- 
ten. Das Verfahren kann beliebige weitere Internet / Intra- 
net-Daten bearbeiten. 

Die RADIUS Accounting Daten sind durch Daten gegeben, wie sie 
in der IETF Spezif ikation RFC 2139 beschrieben sind. Eine 
reale Implementierung ist z.B. in Livingston Enterprises 
Inc., Radius dictionary, VI. 6, 1997 beschrieben. 

Die TCP Dump Daten sind durch Daten gegeben, wie sie 
in UNIX man-pages "tcpdump - dump traffic on a network' be- 
schrieben sind. 

Die SNMP Daten sind durch Daten gegeben, wie sie in den ver- 
schiedenen RFCs der IETF beschrieben sind. Eine tatsachliche 
Implementierung ist z.B. in Livingston Enterprises Inc., Con- 
figuring SNMP, Manual Portmaster 3 beschrieben. 

Um die Verarbeitung der Daten zu beschleunigen, kann optional 
ein regel-basierter Preprocessor eingesetzt werden. Der Pre- 
processor hat die Aufgabe, die Internet / Intranet-Daten so 
zu korrelieren und zu verdichten, dafi als Ergebnis Datensatze 
mit den im eigentlichen Verfahren benotigten Attributwerten 
geliefert werden. 

Grundsatzlich kann ein Preprocessor verwendet werden, wie er 
bei dem bekannt gewordenen Losungsvorschlag vorgesehen ist. 
Dies setzt aber voraus, daii die IDR eine Obermenge der vom 
Verfahren benotigten Attributwerte beinhalten. 

In einer bevorzugten Ausfuhrungsf orm des Anmeldungsgegnstan- 
des wird ein regel-basierter Preprocessor verwendet. Die Re- 
geln steuern dabei die Korrelation und die Verdichtung der 
Internet / Intranet-Daten. 
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Wird im eigentlichen Verfahren ein neues charakteristisches 
Attribut hinzugefiigt oder fallt ein charakteristisches Attri- 
but weg, dann konnen die Auswahlregeln des Preprocessor ein- 
5 fach (automatisch) angepafit werden. Eine automatische Anpas- 
sung der Auswahlregeln kann dabei, wie in der Fig 2 mit ADAP 
(fur: Adaption) bezeichnet, liber Notifications ( f reilauf ende 
Meldungen) an den Preprocessor gesteuert werden. 

10 Das nachfolgend beschriebene Verfahren kann damit 

- direkt auf den Internet / Intranet-Daten aufsetzen, 

- auf Ergebnisse eines beliebigen Preprocessors (wie z.B. 
HP (Hewlett Packard) IPR) aufsetzen 

- auf Ergebnisse (in Fig 2 mit INTM bezeichnet) eines spezi- 
15 fischen regel-basierten Preprocessor aufsetzen. 

Das eigentliche Verfahren teilt sich in vier Verfahren. Jedes 
Verfahren verwendet dabei einen anderen Methodenansatz . Die 
vier unterschiedliche Methodenansatze sind: 
20 - das regelbasierte Verfahren, 

- das neuronale Netz - uberwachtes Lernen 

- die dichte-basierte Prof ilmodellierung 

- das kausale Netz. 

25 Beim regelbasierten Verfahren lassen sich typische benutzer- 
spezifische Verhaltenskategorien mit Hilfe von Regeln model- 
lieren. Durch eine Verhaltenskategorie wird das Verhalten 
klassif iziert, z.B. konnen die Verhaltenskategorieen "Privat- 
nutzung Student", "Privatnutzung Angestellter" , "Privatnut- 

30 zung Freiberuf ler" , "Nutzung kleiner Geschaf tsbetrieb" , "Nut- 
zung grofier Geschaf tsbetrieb" , "Spieler", "Internet / Intra- 
net-Suchtiger", "Nutzer mit hohem Mai Ivo lumen" etc. durch ih- 
re charakteristischen Eigenschaf ten in Form von Regeln ausge- 
drtickt werden. Die Regeln werden auf alle Internet / Intra- 

35 net-Daten oder einen Teil dieser Daten (z.B. das Ergebnis ei- 
nes Preprocessing) angewendet. Das Ergebnis des Verfahrens 
ist, dafj jeder Nutzer nach einem Beobachtungs-zeitraum t kei- 
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ner, einer oder mehrerer Verhaltenskategorien zugeordnet wer- 
den kann. Der Beobachtungszeitraum kann dabei abhangig von 
der Verhaltenskategorie und dem gewiinschten Zweck der Beob- 
achtung variieren. So wird er zur Betrugsentdeckung (als Teil 
des Controlling) sehr klein gewahlt werden (z.B. t= 1 Tag), 
dagegen zur Erzielung von Marketingaussagen einen Zeitraum 
von mehreren Wochen umfassen (z.B. t=4 Wochen) . Speichert man 
die Ergebnisse eines jeden Beobabachtungszeitraums t(i) nut- 
zer-spezifisch in der Datenbasis HIST, so lassen sich durch 
Vergleich der Einzelergebnisse t(i) recht einfach Anderungen 
im Benutzerverhalten feststellen (z.B. am Anfang entsprach 
die Nutzung eines Nutzers der Verhaltenskategorie "Privatnut- 
zung Student", nunmehr ist sie eher der Verhaltenskategorie 
"Nutzung kleiner Geschaf tsbetrieb" zuzuordnen) . 

Das Ziel ist es, Regeln fur jede Verhaltenskategorie zu for- 
mulieren. Die Regeln werden mit Hilfe von logischen Ausdruk- 
ken beschrieben, in denen als Variablen die Felder (Attribu- 
te) der verschiedenen Datensatze verwendet werden, z.B. 
Nutzung "Privatvertrag Angestellter" : := fur alle Datensatze 
des Beobachtungszeitraums gilt: Nutzungszeit Montag bis Frei- 
tag zwischen 17 Uhr und 24 Uhr und Nutzungszeit an Wochenen- 
den von 0 Uhr bis 24 Uhr und Datemibertragungsrate < 2 Mega- 
byte pro Nutzung und max. Nutzungszeit = 2 Stunden) 
Nutzung "Privatvertrag Freiberuf ler " ::= es gibt einen Daten- 
satz des Beobachtungszeitraums, fur den gilt: Nicht Nutzung 
"Privatvertrag Angestellter" und fur alle Datensatze des Be- 
obachtungszeitraums gilt: Datemibertragungsrate < 10 Megabyte 
pro Tag und max. Nutzungszeit = 8 Stunden 

Grundsatzlich konnen sich die Regeln auf einen oder mehrere 
Datensatze (auch verschiedener Dateien) beziehen. 

In der Anwendungsphase des regelbasierten Verfahrens werden 
fur die angegebenen Daten zum Zeitpunkt t alle ausgewahlten 
Regeln liberprtif t . Die Ergebnisse werden zunachst benutzer- 
spezifisch in der Datenbasis HIST protokolliert . 
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Starke des regelbasierten Verf ahrens : 

- Klassifizierung des Benutzerverhaltens in Form von Vernal- 
tens kategorien 

- Hieraus lassen sich einfach Trends, Marketingaussagen, Ver- 
tragsverletzungen etc. ableiten 

Beim iiberwachten Ansatz wird ein Neuronales Netz mit einem 
Satz von Beispielen trainiert. Die Voraussetzung fur das 
Training ist, dafl zu jedem . Beispiel der zugehorige Zielwert 
gegeben ist, d.h. es mufl zum Zeitpunkt des Trainings bekannt 
sein, ob z.B. fur das betrachtete Beispiel eine festgelegte 
Nutzung vorlag oder nicht (festgelegte Nutzungen konnen z.B. 
sein "Vertragsverletzung Privatvertrag Angestellter " , 
"Schwerpunktnutzung Surf en", "Schwerpunktnutzung Spieler" 
etc.). Dabei miissen die zu untersuchenden Zielwerte und die 
fur das Beispiel charakteristischen Attribute vorgegeben wer- 
den. Die charakteristischen Attribute bestimmen das Verhalten 
eines Nutzers Das Verhalten wiederum ist abhangig von be- 
stimmten Attributwerten (den Daten selber) . 
Charakteristische Attribute konnen z.B. sein: 

- mittlere Nutzungszeit des Nutzers an einem Tag uber einen 
Beobachtungszeitraum (z.B. vier Wochen) 

- Streuung der Nutzungszeit des Nutzers 

- maximal e Nutzungszeit 

- minimale Nutzungszeit 

- mittlere Ubertragungsrate des Nutzers an einem Tag uber ei- 
nen Beobachtungszeitraum (z.B. vier Wochen) 

- Streuung der Ubertragungsrate des Nutzers 

- maximal e Rate 

- minimale Rate 

- mittlere Nutzungsdauer des Nutzers von speziellen Inter- 
net/Intranet Services iiber einen Beobachtungszeitraum (z.B. 
vier Wochen) 

- Streuung der Nutzungdauer des Nutzers 

- maximale Nutzungdauer 

- minimale Nutzungdauer 
etc . 
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In der Trainingsphase (Vorabschritte) des Neuronalen Netzes 
ist es Ziel, ein Modell zu erstellen, das fur einen Nutzer 
anhand des gegebenen Beispiels entscheidet, ob eine Nutzung 
5 des Internet/ Intranetzugangs hinsichtlich eines oder mehrerer 
definierter Zielwerte stattfindet oder nicht. Die Modeller- 
stellung erfolgt durch das uberwachte Training, dessen Grund- 
lagen in Rumelhart, D.E., Hinton, G.E. und Williams, R.J. Le- 
arning internal representation by error backpropagation, In 
10 Parallel Distributed Processing, S. 318-362, Cambridge, MA, 
MIT Press, 1986) im einzelnen beschrieben sind. 

In der Trainingsphase werden folgende Schritte durchgef iihrt : 
Jedem Nutzer wird ein Verhaltensmuster in Form von Attributen 
zugeordet, das ein gewisses Profil uber einen langeren Zeit- 
raum beschreibt. Die Attribute charakterisieren dabei die 
Nutzung hinsichtlich eines definierten Zielwertes. Der dem 
Verhaltensmuster zugrundeliegende Zeitraum sollte nicht ktir- 
zer als vier Wochen sein und vor dem Zeitpunkt liegen, in dem 
die Methode fur o.g. Zweck angewendet wird. 

Das neuronale Netz wird anhand von Trainingsdaten auf die 
Nutzung hinsichtlich der definierten Zielwerte trainiert. Bei 
den Trainingsdaten ist bekannt, ob die Nutzung einem bestimm- 
25 ten Zielwert zugeordnet werden kann oder nicht. 

In der Anwendungsphase des neuronalen Netzes, die nach Ab- 
schlufi der Trainingsphase beginnt, werden kontinuierlich fol- 
gende Schritte durchgef iihrt : 

30 

Das Neuronale Netz entscheidet auf Basis der Beispiele, ob 
die Nutzung einem bestimmten Zielwert zugeordnet werden kann 
oder nicht. Diese Entscheidung wird nutzer-spezif isch als Er- 
gebnis des Beobachtungszeitraumes in der Datenbasis HIST pro- 
35 tokolliert. 



15 



20 
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Das neuronale Netz kann bei Bedarf mit neuen Zielwerten hin- 
sichtlich seiner Nutzung (z.B. bis dato noch nicht bekannten 
Fallen von Vertragsverletzungen) trainiert werden. 

5 Diese Methode anwendbar, wenn der Nutzer Bestandteil der Da- 
ten ist. 

Starke dieser Methode: 

- Einfache Zuordnung von Ausnahmen 

10 - Berucksichtigung von Ausnahmen im Ergebnis 

- Lernf ahigkeit 

Bei der dichte- basierten Prof ilmodellierung handelt es sich 
um eine probabilistische Modellierung des Verhaltens zu jedem 

15 Nutzer (probabilistische Prof ilmodellierung) , d.h. es wird 

fur jeden Nutzer ein Modell anhand der zu diesem Nutzer zuge- 
horigen Beispielen erstellt. Diese Beispiele bestehen aus 
charakteristischen Attributen und aus bestimmten Attributwer- 
ten, die die Nutzung des Internet/Intranet hinsichtlich eines 

20 oder mehrerer Zielwerte beschreiben. Beispiele fur charakteri- 
stische Attribute sind im vorhergehenden Abschnitt beschrie- 
ben. 

In der Trainingsphase der dichte-basierten Prof ilmodellierung 
werden folgende Schritte durchgefuhrt : Jedem Nutzer wird ein 

25 Satz.von Beispielen zugeordet, der die Verhaltensweise des 

Nutzers uber einen langeren Zeitraum beschreibt. Der dem Ver- 
haltensmuster zugrundeliegende Zeitraum sollte nicht kurzer 
als vier Wochen sein und vor dem Zeitpunkt liegen, in dem die 
Methode fur Kontroll- und Marketingzwecke angewendet wird. 

30 Fur jeden Nutzer wird ein probabilistisches Profil erstellt. 
Diese Erstellung erfolgt durch die Dichteschatzung mit dem 
EM-Algorithmus . Die genaue Beschreibung ist in Chris Bishop, 
Neural Networks in Pattern Recognition, Oxford Press, 1996 
enthalten.Nach AbschluA der Trainingsphase, beginnt die An- 

35 wendungsphase der dichte-basierten Prof ilmodellierung, in der 
kontinuierlich folgende Schritte durchgefuhrt werden: Die Da- 
ten beispielsweise eines Tages werden hinsichtlich der fur 
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die probabilistische Prof ilmodellierung bestimmten Datenin- 
halte analysiert (ein neues Beispiel wird erzeugt) .Das dich- 
te-basierte Prof ilmodell gibt einen Wert aus, der eine Wahr- 
scheinlichkeit fur die Nutzung des Internet/Intranet der be- 
trachteten Entitat hinsichtlich der definieren Zielwerte dar- 
stellt. Dieser Wert wird protokolliert . Weicht dieser Wert 
gegeniiber den vorangegangenen Werten uber einen vorgegebenen 
Schwellwert hinaus ab, dann erfolgt ein Hinweis, dafi das Er- 
gebnis in jedem Fall angezeigt werden soll.Mit dieser Methode 
kann sehr einfach festgestellt werden, wenn sich die Nutzung 
des Internet/Intranet plotzlich andert.Mit dem aktuellen Bei- 
spiel wird das Prof ilmodell nachadaptiert -Diese Methode ist 
anwendbar, wenn der Nutzer Bestandteil der Daten ist. Starke 
dieser Methode:- Erkennung einer abrupten Anderung des Benut- 
zerverhaltens - Lernf ahigkeit 

Basis fur die Methode des kausalen Netz' ist die Modellierung 
typischer Verhaltensszenarien in Form von kausalen Abhangig- 
keiten und Wahrscheinlichkeiten bestimmter Dateninhalte wie 
es in dem Beispiel "Privatnutzung Angestellter"in Fig 3 dar- 
gestellt ist. Einer Privatnutzung Angestellter PA sind eine 
bestimmte Nutzungszeit UC (fur: UseClock) , eine bestimmte 
Nutzungsdauer UT ( f ur : UseTime) und eine bestimmte tibertra- 
gungsrate RATE zugeordnet . Die Wochentage haben, je nachdem 
ob es sich urn einen Werktag WD (fur: working day) oder urn ein 
Wochenende WE (fur: week end) handelt, Einfluli auf die Hohe 
der Nutzungszeit, die Nutzungsdauer und die Ubertragungsrate . 
Die kausalen Abhangigkeiten basieren auf der Auswertung be- 
kannter Falle. Sie mussen nicht spezifischen Nutzern zugeord- 
net sein.In der Phase der Modellierung des kausalen Netzes 
werden folgende Schritte durchgef uhrt : Fur alle Daten werden 
die kausalen Abhangigkeiten hinsichtlich der Daten-Inhalte 
formuliert .An den Stellen, wo die kausalen Abhangigkeiten 
existieren, werden entsprechende Wahrscheinlichkeiten zuge- 
ordnet. In. der Modellierungsphase ist das Domanewissen des 
Fachexperten notwendig. Die Grundlage uber das kausale Netz 
ist in Finn V. Jensen, An Introduction to Bayesian Networks, 
UCL Press 1996 beschrieben . In der Anwendungsphase des kausa- 
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len Netzes werden kontinuierlich folgende Schritte durchge- 
fiihrt:Die Datensatze der zu untersuchenden Daten werden kon- 
tinuierlich auf die f ormulierten kausalen Abhangigkeiten hin 
untersucht. Fur jeden Nutzer bzw. jedes Ereignis wird ent- 
5 schieden, mit welcher Wahrscheinlichlichkeit eine spezifische 
Nutzung hinsichtlich des definierten Szenarios vorliegt. Die- 
se Entscheidung wird als Ergebnis des Beobachtungszeitraumes 
in der Datenbasis HIST protokolliert . 1st der Nutzer Bestand- 
teil der Daten, dann werden die Ergebnisse nutzer-spezif isch 

10 protokolliert. Die Wahrscheinlichkeiten hinter den kausalen 
Abhangigkeiten konnen nachadaptiert werden. Die kausalen Ab- 
hangigkeiten von neuen, bis dato noch nicht bekannten Katego- 
rieen werden bei Bedarf den existierenden kausalen Abhangig- 
keiten hinzugefugt. Diese Methode lafit sich auch dann anwen- 

15 den, wenn der Nutzer nicht Bestandteil des Datensatzes ist. 
In diesem Fall kann aber eine Kategorie keinem spezifischen 
Nutzer zugeordnet werden. Starke der Methode des kausalen Net- 
zes:- Zuordnung von Grenzbereichen in Verhaltenskategorien- 
Erkennen von Grenzbereichen in Verhaltenskategorien- Lernfa- 

20 higkeitGrundsatzlich ist es moglich, die Einzelergebnisse der 
einzelnen Verfahren auszugeben. In weiterer Ausgestaltung des 
Anmeldungsgegenstandes werden die Einzelergebnisse der ein- 
zelnen Verfahren zu einem Gesamtergebnis verdichtet. Diese 
Verdichtung bezieht die Einzelergebnisse der verschiedenen 

25 Verfahren ein. Die Einzelergebnisse konnen sowohl aus dem 
aktuellen als auch aus vergangenen Beoabachtungszeitraumen 
stammen. Jedes der beschriebenen Verfahren hat spezifische 
Starken. Dies kann bei einer Verdichtung ausgenutzt werden, 
wie im folgenden Beispiel beschrieben: Ein Nutzer x wird z.B. 

30 durch das regel-basierte Verfahren eindeutig der Verhaltens- 
kategorie "Privatnutzung Freiberuf ler " zugeordnet, wenn er an 
einem Tag das Internet mehr als 2 Stunden genutzt hat (bezo- 
gen auf die oben dargestellte Beispielregel) . Das kausale 
Netz sieht diesen Nutzer x aber vielmehr im Verhaltensszena- 

35 rio "Privatnutzung Angestellter" , da er z.B. in mehr als 90% 
der Datensatze die Nutzungszeit von weniger als 2 Stunden 
eingehalten hat. Diese Erkenntnisse konnten dann im Gesamter- 
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gebnis dergestalt angezeigt werden, dafl es sich bei der Nut- 
zung des Internet / Intranet durch den Nutzer x mit einigen 
geringfugigen Ausnahmen um eine "Privatnutzung Angestellter" 
handelt. Ein weiteres Beispiel fur eine Verdichtung ist die 
Trenderkennung durch Auswertung von Ergebnissen verschiedener 
Beobachtungszeitraume . 



WO 00/36534 



PCT/DE99/03922 



14 

Patent anspruche 

1. Verfahren zur Erfassung des Nutzungsverhaltens eines Teil- 
nehiners im Internet/Intranet, demzuf olge 

- die Teilnehmerdaten uber einen festgelegten Zeitraum proto- 
kolliert werden 

- die protokollierten Teilnehmerdaten nach mindestens einem 
der folgenden Verfahren ausgewertet werden: 

• Regel-basierter Ansatz, 

• neuronales Netz, uberwacht trainiert, 

• dichte basierte Prof ilmodellierung, 

• kausales Netz 

derart, daii eine Zuordnung eines Teilnehmers nach Maflgabe 
seines Teilnehmer-Verhaltens zu einer Kategorie von Nut- 
zungsverhalten gegeben ist. 

2. Verfahren nach Anspruch 1, 
dadurch gekennze.ichnet , 

dafi die Teilnehmerdaten durch mindestens eine der folgenden 
Kategorien von Daten gegeben sind: RADIUS-Daten, SNMP-Daten, 
TCP-Dump-Protokoll-Daten. 

3. Verfahren nach einem der vorstehenden Anspruche, 
dadurch gekennzeichnet, 

daii die Teilnehmerdaten vor der Auswertung einer Regel- 
basierten Vorbehandlung unterzogen werden. 

4. Verfahren nach Anspruch 3, 
dadurch gekennzeichnet, 

daii die einer Vorbehandlung unterzogenen Teilnehmerdaten vor 
der Auswertung zwischengespeichert werden. 

5. Verfahren nach einem der AnsprUche 3 oder 4, 
dadurch gekennzeichnet, 

dafi nach MaBgabe des Auswerteergebnisses mindestens eines der 
Verfahren eine automatische Anpassung der Auswahlregeln fur 
die Vorbehandlung der Teilnehmerdaten erfolgt. 



WO 00/36534 



PCT/DE99/03922 



15 

6. Verfahren nach einem der vorstehenden Anspriiche, 
dadurch gekennzeichne t , 

dali die Ergebnisse, insbesondere die aktuellen Ergebnisse, 
5 der Auswertungen der einzelnen Verfahren zu einem Endergebnis 
verknupft werden. 

7. Verfahren nach einem der vorstehenden Anspriiche, 
dadurch gekennzeich.net, 

10 daB die Ergebnisse der Auswertungen der einzelnen Verfahren 
eines aktuellen Beobachtungszeitraumes und eines vergangenen 
Beoabachtungszeitraumes zu einem Endergebnis verkniipft wer- 
den • 
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